St. t.k.n. nr. 2. Bijlage definitieve management letter 2024

Management letter Gemeente Nunspeet Boekjaar 2024

Aanbiedingsbrief Aan het College van Burgemeester en Wethouders van de gemeente Nunspeet Postbus 79 8070 AB NUNSPEET Onderwerp: Management letter 2024 Datum: 31 januari 2025

Geacht college, Als onderdeel van de jaarrekeningcontrole van boekjaar 2024 van de gemeente Nunspeet rapporteren wij u onze bevindingen uit de interim-controle. In deze management letter rapporteren wij de bevindingen naar aanleiding van onze controle, de belangrijkste risico’s, ons beeld van de interne beheersing, relevante ontwikkelingen in wet- en regelgeving en indien van toepassing andere veranderingen die voor u relevant kunnen zijn. In de bijlage hebben wij een gedetailleerd overzicht opgenomen van onze bevindingen en aanbevelingen. De bevindingen komen voort uit onze werkzaamheden in het kader van de jaarrekeningcontrole en zijn opgenomen voor zover wij het van belang achten om deze met u te communiceren. De bevindingen en aanbevelingen dienen te worden gelezen als constructieve aanwijzingen voor het college als onderdeel van een continue proces van het veranderen en verbeteren van de beheersing van de organisatie. Deze management letter is door ons opgesteld voor uw informatie en mag niet zonder onze uitdrukkelijke toestemming geheel of gedeeltelijk aan derden ter beschikking worden gesteld. Wij danken u en uw medewerkers voor de samenwerking en zijn graag bereid tot het verstrekken van nadere toelichting. Met vriendelijke groet, Baker Tilly (Netherlands) N.V.

M.C.J.M. Bekker RA

pagina | 2

Inhoud 1. Management samenvatting 2. Kwaliteit interne beheersing 3. IT-omgeving 4. Voorbereiding jaarrekeningcontrole 5. Actualiteiten 6. Bijlagen

pagina | 3

1

Management samenvatting

1. Management samenvatting Deze management letter bevat onze bevindingen die zijn gebaseerd op onze werkzaamheden in het kader van de jaarrekeningcontrole voor het jaar eindigend op 31 december 2024. In dit overzicht is een samenvatting van de belangrijkste punten naar aanleiding van onze werkzaamheden opgenomen. Onderwerp

Toelichting

Algemene conclusie interne beheersing

De afgelopen jaren heeft de gemeente Nunspeet goede stappen gezet om de interne beheersing van de gemeente te versterken. Uit de gesprekken die wij bij de interim-controle hebben gehad, merken wij dat er bewustzijn is van het belang van een goede interne beheersing. Ook in 2024 zijn weer stappen gezet, waarbij wij zien dat uw gemeente bezig is met het doorvoeren van verbeteringen in enkele processen, mede naar aanleiding van onze adviezen in voorgaande jaren. Wij vragen uw aandacht voor de verdere implementatie van deze verbeteringen.

IT-omgeving

In het kader van onze jaarrekeningcontrole hebben we de interne beheersing rondom uw IT onderzocht. Wij hebben in dat kader het netwerk en de applicatie Key2Financiën onderzocht. De aandachtspunten hebben met name betrekking op het zichtbaar vastleggen van een periodieke controle op de gebruikersrechten. Deze gebruikersrechten (en andere onderdelen van de IT-omgeving) worden steeds belangrijker, aangezien uw organisatie interne beheersingsmaatregelen heeft die afhankelijk zijn van de IT-omgeving. Een voorbeeld hiervan is functiescheiding bij het autoriseren van inkoopfacturen. De inrichting van de IT-omgeving moet waarborgen dat het proces functioneert zoals het bedoeld is en dat de juiste personen de juiste bevoegdheden hebben.

pagina | 5

1. Management samenvatting Onderwerp

Toelichting

Cybersecurity

In het kader van onze natuurlijke adviesfunctie hebben wij een Cybersecurity NIS2 scan uitgevoerd. Hierbij constateren wij dat de gemeente Nunspeet op de meeste aspecten boven het niveau van de best practice ten aanzien van de EU-wetgeving NIS2 en de Nederlandse vertaling in de Cyberbeveiligingswet scoort. Het onderdeel detectie scoort lager en behoeft aandacht ter verbetering.

Voorbereidingen jaarrekeningcontrole 2024

We maken met uw gemeente afspraken over de planning van de jaarrekeningcontrole 2024. Op voorhand identificeren we een aantal onderwerpen met verhoogde aandacht in onze controle. Dit betreft met name de SiSa-regelingen en bijbehorende balansposten. Verder loopt uw gemeente nog tegen problemen aan bij het inlezen van gegevens m.b.t. de leges omgevingsvergunningen vanuit de subadministratie naar de financiële administratie. Wij vragen u het controleproces voor de jaarrekening 2024 goed voor te bereiden.

Actuele ontwikkelingen

Vanuit het oogpunt van onze natuurlijke adviesfunctie in deze management letter hebben we een bijlage opgenomen met actuele ontwikkelingen. Wij vragen u hiervan kennis te nemen en hier indien noodzakelijk rekening mee te houden bij het opstellen van de jaarrekening 2024.

Onderlinge samenwerking

We hebben met de gemeente Nunspeet duidelijke afspraken gemaakt met betrekking tot de controle van de processen / interne beheersing en de jaarrekeningcontrole. Tijdens de interim-controle hebben wij op een prettige en constructieve wijze samengewerkt met de gemeente.

pagina | 6

2

Kwaliteit interne beheersing

2. Kwaliteit interne beheersing Inleiding Deze management letter bevat onze bevindingen ten aanzien van de

Onze risicoanalyse richt zich op een betrouwbare totstandkoming van

interne beheersing (inclusief de IT-omgeving), die zijn gebaseerd op

de jaarrekening. Dit betekent dat wij niet alle risico’s die voor u als

onze werkzaamheden in het kader van de jaarrekeningcontrole 2024.

gemeente relevant zijn in onze controle meenemen. De risicoanalyse

Deze werkzaamheden zijn dan ook niet gericht op het geven van een

is een continue proces en stellen wij gedurende de controle indien

oordeel over de interne beheersing van uw organisatie als geheel.

nodig bij. De belangrijkste bij uw gemeente onderkende risico’s / kernpunten in de controle zijn:

Een goede interne beheersing maakt dat de risico’s voor de

•

organisatie beter beheersbaar zijn en de jaarrekeningcontrole

De rechtmatigheidsverantwoording (voornamelijk op het gebied van aanbestedingsrechtmatigheid);

effectiever en efficiënter kan plaatsvinden. Vanuit onze natuurlijke

•

Waardering van de grondexploitaties;

adviesfunctie willen wij bijdragen aan verbetering van uw

•

Prestatielevering inkopen;

bedrijfsvoering, onder andere door het analyseren van de IT-omgeving

•

Risico dat het management van de gemeente de procesafspraken

en de bedrijfsprocessen.

doorbreekt, hetgeen een standaard risico is vanuit onze beroepsregels. Dit risico ziet bij uw gemeente met name toe op de

Voorgaande jaren hebben wij onze bevindingen eveneens met u

schattingsposten in de grondexploitatie.

gedeeld. In deze management letter geven wij u een update van onze bevindingen.

In ons accountantsverslag rapporteren wij naar aanleiding van de jaarrekeningcontrole over bovenstaande punten.

pagina | 8

2. Kwaliteit interne beheersing Belangrijkste aanbevelingen In onderstaand overzicht zijn de belangrijkste aanbevelingen naar aanleiding van onze werkzaamheden opgenomen. Wij hebben per bevinding een beknopte omschrijving opgenomen. Een gedetailleerde beschrijving van de detailbevindingen is opgenomen in de bijlage (onderdeel 6 van deze management

  

opgelost actie ondernomen, maar nog niet afgerond geen actie ondernomen

letter). De kleur van de het symbool geeft de status van de constatering aan. #

Proces

Bevinding

Status

Prioriteit

1

Betalingen

Bevoegdheden betalingen Rabobank: Wijzigingen bevoegdheden door enkele gebruiker

Gemiddeld

2

Subsidies

Niet naleven van de termijnen uit de Algemene Subsidieverordening (toekenning en vaststelling)

Gemiddeld

3

Inkopen

Aanbestedingen: Inschakelen van inkoopcoördinatoren en/of gebruik inkoopformulier niet afgedwongen

Gemiddeld

pagina | 9

2. Kwaliteit interne beheersing Frauderisicoanalyse De primaire verantwoordelijkheid voor het voorkomen en detecteren van fraude (waaronder corruptie) berust bij het college van burgemeester en wethouders. Deze verantwoordelijkheid betreft ook het onderhouden van een zodanige interne beheersing om het opmaken van de jaarrekening mogelijk te maken zonder dat deze afwijkingen van materieel belang bevat als gevolg van fraude of fouten. Op basis van onze uitgevoerde interim-controle stellen wij vast dat er binnen de gemeente aandacht is voor frauderisico’s en de preventie daarvan. Uw organisatie heeft in 2024 een update uitgevoerd op de Frauderisico inventarisatie. Het doel van deze inventarisatie is om te voorkomen dat in de interne beheersing van de organisatie kwetsbare onderdelen onopgemerkt blijven. Het document beschrijft de belangrijkste risico’s die de gemeente Nunspeet heeft geïdentificeerd en de interne beheersingsmaatregelen die naar mening van de gemeente de desbetreffende risico’s mitigeren. Wij adviseren om in deze frauderisicoanalyse concreter te evalueren of er nog restrisico’s resteren die niet door de interne beheersingsmaatregelen worden ondervangen, hoe de gemeente deze restrisico’s ondervangt of dat deze worden geaccepteerd. Onze frauderisicoanalyse In de afgelopen jaren is de aandacht voor fraude alleen maar toegenomen.

Ook de rol van de accountant bij het signaleren van frauderisico’s is afgelopen jaren veelvuldig besproken. Naar aanleiding van de rapportage van de AFM ‘Scherper op frauderisico’s van 8 juni 2023 heeft onze beroepsorganisatie de aanpak van frauderisico’s in de controle geëvalueerd en is deze zomer de concept Handreiking 1153 ‘Frauderisicoanalyse’ gepubliceerd. Tevens wijzen wij u op de gepubliceerde handreiking 1137 ‘Corruptie, werkzaamheden van de accountant’, waarin aandacht geschonken wordt aan corruptierisico’s. Wij willen u vragen om ook in de eigen frauderisicoanalyse aandacht te hebben voor mogelijke corruptierisico’s binnen uw organisatie. De nadere guidance in Handreiking 1153 en 1137 kan er toe leiden dat dit gevolgen heeft voor de frauderisicoanalyse die wij voor onze controle van uw gemeente uitvoeren. Dit kan dan tevens betekenen dat wij in vergelijking met voorgaande jaren meer of andere frauderisico's identificeren.

pagina | 10

3

IT-omgeving

3. IT-omgeving Inleiding Als onderdeel van onze controleaanpak hebben wij op 30 september 2024 werkzaamheden uitgevoerd om inzicht te krijgen in uw IT-omgeving en de daarbij (eventueel) behorende risico’s voor de jaarrekeningcontrole.

Samenvatting bevindingen De tabel op de volgende pagina geeft een overzicht van onze bevindingen ten aanzien van de IT-aandachtsgebieden binnen uw organisatie. De risico’s kunnen per aandachtsgebied verschillen. Bij de tabel is onze inschatting van de impact op de controle en op uw organisatie opgenomen.

De kleur van het symbool geeft de status van de constatering aan: Verbetering nodig Adviespunt Voldoende

pagina | 12

3. IT-omgeving Samenvatting bevindingen (vervolg)

Netwerk Key2Financiën

Toegangsbeveiliging

Wijzigingsbeheer N.v.t.

Continuïteit

Proces Algemeen Financiële administratie

Impact op de controle

Omgeving

Toegangsbeveiliging

Wijzigingsbeheer

Overige punten Continuïteit

Belang voor uw organisatie

pagina | 13

3. IT-omgeving Cybersecurity Als onderdeel van de jaarrekeningcontrole hebben wij inzicht gekregen in de cybersecurity-gerelateerde risico’s die zouden kunnen leiden tot een potentiële afwijking van materieel belang in de jaarrekening (met betrekking tot zowel financiële als niet-financiële informatie). Hiervoor hebben wij inzicht gekregen in de mate waarin, en de overweging waarom de organisatie bepaalde informatiebeveiligingsmaatregelen heeft genomen om deze cyberrisico's te beperken. Om het risico van cyberbeveiligingsbedreigingen (d.w.z. continuïteit van de dienstverlening en integriteit van de financiële verslaglegging) te verlagen, heeft uw organisatie een mix van beveiligingsmaatregelen geïmplementeerd. Zie de Cybersecurity NIS2 scan in de bijlage. We hebben vernomen dat zich in het boekjaar geen cyberbeveiligingsincidenten hebben voorgedaan die hebben geleid tot een afwijking van materieel belang in de jaarrekeningcontrole van uw organisatie. Onze controlewerkzaamheden zijn niet primair gericht op het doen van uitspraken over cyberbeveiliging en we hebben ook geen instructies van het management in die zin ontvangen voor het uitvoeren van meer diepgaande werkzaamheden.

pagina | 14

3. IT-omgeving NIS2 In Nederland is de Cyberbeveiligingswet (verder: Cbw) in ontwikkeling welke vanaf 2025 verplicht zal worden en de EU richtlijn Network and Information Systems Directive (verder: NIS2) implementeert. De wet is uit de consultatieronde en wordt na de zomer definitief gemaakt voor invoering naar verwachting in voorjaar 2025. Dit heeft betrekking op meerdere sectoren, waaronder de sector waar uw organisatie onder valt. Er worden strengere eisen gesteld aan de beveiliging van netwerk- en informatiesystemen. Organisaties worden onder de Cbw meer dan nu verplicht om te zorgen voor de beveiliging van de hele keten waar zij deel van uitmaken. Op basis van het risico in de leveringsketen zullen zij cybersecurity maatregelen moeten opleggen aan hun leveranciers. Die groep leveranciers zal ook digitaal veiliger moeten gaan werken. Daarnaast komt er een verplichte registratie en meldplicht voor incidenten (naast degene die al bestaat voor privacy). Er worden maatregelen ingevoerd om de naleving van de NIS2-richtlijn te verzekeren, inclusief financiële sancties voor niet-naleving. Wij adviseren om vanuit een actueel inzicht in de IT-objecten en gegevens in de keten waarvan uw organisatie deel uitmaakt de risico’s te benoemen en maatregelen en contractuele afspraken scherp in beeld te hebben.

Daarop aanvullend dienen vervolgens een aantal basis hygiëne maatregelen conform de nieuwe wet ingericht te worden. Wij hebben hiervoor een stappenplan ontwikkeld en kunnen u hierbij ondersteunen.

pagina | 15

4

Voorbereiding jaarrekeningcontrole

4. Voorbereiding jaarrekeningcontrole Inleiding Om aan uw behoeften te kunnen voldoen en om het proces voor de jaarrekeningcontrole efficiënt te laten verlopen vinden wij het belangrijk om vooraf afspraken te maken, het proces regelmatig te evalueren en onze bevindingen met u te delen. Om achteraf verassingen te voorkomen willen wij de volgende werkafspraken met u maken.

pagina | 17

4. Voorbereiding jaarrekeningcontrole Planning

Onze verwachtingen

Wij starten met de jaarrekeningcontrole op 24 maart 2025. Om de

Om een kwalitatief goede en efficiënte controle uit te voeren

jaarrekeningcontrole efficiënt te laten verlopen is het belangrijk dat vóór

verwachten wij van u:

deze datum een conceptjaarrekening en controledocumentatie

•

aanwezig is. Voor de benodigde controle-documentatie (het balansdossier) leveren wij een aparte PBC-lijst aan, inclusief deadlines

basis van uw eigen standpunt;

•

voor de aanlevering van de documentatie.

Aanvullende gegevensgerichte werkzaamheden

• •

Het vooraf uitzetten van onze selecties heeft als bijkomend voordeel

Maximaal twee versies van de jaarrekening (concept en definitief); Tijdige en volledige aanlevering van het balansdossier volgens de PBC-lijst;

•

controledocumentatie opvragen. Hiervoor is het noodzakelijk dat u tijdig de administratie afsluit en de auditfile aan het controleteam verstrekt.

Tijdige aanlevering van de (volledige) jaarrekening aansluitend met uw administratie en het concept jaarverslag;

Voor aanvang van de jaarrekeningcontrole zullen wij voor de belangrijkste deelwaarnemingen selecties maken en de bijbehorende

Complexe vraagstukken worden vooraf met ons afgestemd op

Uw medewerkers zijn voldoende beschikbaar om vragen (tijdig) te beantwoorden;

•

Na het opmaken van de jaarrekening wordt niet meer geboekt in de administratie van het te controleren boekjaar.

dat uw medewerkers de benodigde controledocumentatie op een door hun gekozen moment (voor aanvang van de controle) kunnen verzamelen.

pagina | 18

5

Actualiteiten

5. Actualiteiten Wethouderspensioen De nieuwe pensioenwet is op 1 juli 2023 ingegaan. Uiterlijk 1 januari 2027 moeten alle werknemers en gepensioneerden duidelijkheid hebben over de gevolgen daarvan voor hun pensioen, alvorens 1 januari 2028 alle pensioenen worden overgezet. De nieuwe wet heeft ook gevolgen voor de pensioenen van politieke ambtsdragers, waaronder de pensioenen van wethouders. Zij vallen onder de pensioenregeling die is opgenomen in de Algemene pensioen- en uitkeringswet politieke ambtsdragers (Appa). Dit is een op zichzelf staande wettelijke pensioenregeling waarvoor de minister van Binnenlandse Zaken en Koninkrijksrelaties (BZK) verantwoordelijk is. De Pensioenwet en de Wet toekomst pensioenen (Wtp) gelden niet voor deze pensioenregeling. Echter, de bestendige beleidslijn is dat de rechtspositie voor politieke ambtsdragers zoveel als mogelijk geënt is op de rechtspositie van overheidswerknemers bij het Rijk (“normaal waar het kan, bijzonder waar het moet”). Er is volgens BZK geen aanleiding om de bijzondere positie van politieke ambtsdragers in de pensioenregeling Appa tot uitdrukking te laten komen. Het politieke ambt wordt gezien als een stap in een carrière, waar na het aftreden de ambtsdrager zijn loopbaan met pensioenopbouw elders voortzet. Vandaar dat de Appa zoveel mogelijk de ABP-pensioenregeling van de overheidswerknemers volgt.

Na de aanvaarding van de Wet aanpassing Appa zijn per 1 juli 2022 de inhoudelijke verschillen tussen het ABP-reglement en de Appa opgelost waardoor de Appa en het ABP-reglement gelijk zijn getrokken. Voor een groot deel van de politieke ambtsdragers geldt dus dat zij nu materieel al dezelfde pensioenregeling hebben als andere overheidswerknemers (die bij ABP zitten). Nu geldt voor politieke ambtsdragers nog dat de pensioenuitkeringen niet uit een pensioenfonds betaald worden, maar uit de begroting van de gemeenten. De gemeente heeft ter dekking van de toekomstige pensioenlasten in lijn met BBV een voorziening op de balans opgenomen. Het ligt voor de hand de pensioenen van politieke ambtsdragers, die immers ook werkzaam zijn in het overheidsdomein, op te nemen in de nieuwe premieregeling voor overheidswerknemers binnen de wettelijke kaders van de Wtp. Na het onderbrengen van de Appa-pensioenen bij het ABP door middel van een collectieve waardeoverdracht worden pensioenen niet meer direct betaald vanuit de gemeente. Daarnaast zal hiermee de pensioenvoorziening voor (voormalig) wethouders verdwijnen.

pagina | 20

5. Actualiteiten Tot de uiteindelijk vastgestelde overgangsdatum geldt de huidige Appa. Op de overgangsdatum zullen bestaande Appa-aanspraken worden omgezet naar het nieuwe contract van het ABP. Dit betekent dat de regels van dat nieuwe contract ook van toepassing worden op de vóór de overgangsdatum al bestaande Appa-rechten. Dat kan door de voor de overgangsdatum opgebouwde pensioenaanspraken om te zetten in nieuwe individuele pensioenvermogens. Voor de overdracht van de Appa-pensioenen geldt dat de benodigde individuele pensioenvermogens eerst moeten worden berekend door ABP. Vervolgens moeten deze door de betrokken overheidsinstellingen bij het ABP worden afgefinancierd. Dit houdt een collectieve waardeoverdracht door alle betrokken overheden aan het ABP in. Na een dergelijke affinanciering is er met ingang van de definitieve overgangsdatum geen sprake meer van het uit de begroting bekostigen van pensioenuitkeringen, maar is er sprake van fondsfinanciering. Een nog uit te voeren onderzoek door BZK zal zich nader richten op de omvang van de voorziening, de invloed van de rekenrente en de benodigde overdrachtswaarde. Daarbij moet worden aangetekend dat de verschillen tussen afzonderlijke gemeenten groot kunnen zijn. In aanloop naar de overgang moet per gemeente inzichtelijk worden gemaakt in hoeverre een toereikende voorziening is getroffen.

Wij achten het van belang de beschreven ontwikkelingen mee te nemen in uw risicoanalyse en wanneer er meer duidelijkheid is, de gevolgen te verwerken in de meerjarenbegroting. De Commissie BBV heeft een vraag en antwoord gepubliceerd ten aanzien van de verantwoording van de voorziening voor pensioenaanspraken van politieke ambtsdragers in relatie tot de kapitaaloverdracht naar het ABP. Daarbij heeft de commissie aangegeven dat de mogelijkheid bestaat om de voorziening te waarderen tegen nominale waarde. Dit heeft als gevolg dat rente-effecten geen rol meer spelen en de middelen voor de berekende nominale verplichting in de voorziening zijn opgenomen. Het is aan de raad van de gemeente om bij de berekening van de pensioenverplichting wel of niet rekening te houden met de rentecomponent. Indien de gemeente een wijziging doorvoert om de waardering plaats te laten vinden op nominale waarde in plaats van contante waarde is dat wel een stelselwijziging die als zodanig moet worden verwerkt middels onder andere een raadsbesluit en/of een begrotingswijziging.

pagina | 21

5. Actualiteiten Het voordeel van de verantwoording van de voorziening tegen nominale waarde is dat de voorziening niet meer gevoelig is voor de (ontwikkeling van de) rekenrente tot het moment van de kapitaaloverdracht naar het ABP. Een nadeel van deze optie is dat de voorziening mogelijk moet worden opgehoogd. Dit moet in het lopende boekjaar van de gemeente worden verwerkt. Daarnaast betreft het mogelijk een stelselwijziging die als zodanig moet worden verwerkt. Dit betekent o.a. een raadsbesluit en begrotingswijziging. Deze optie heeft dus administratieve gevolgen.

Omgevingswet De omgevingswet is op 1 januari 2024 in werking getreden en vervangt 26 bestaande wetten. De omgevingswet heeft een indirecte en directe impact op de gemeentelijke processen en organisatie. Belangrijk is om te toetsen in hoeverre uw processen en procedures voldoen aan de omgevingswet en, waar nodig, aanpassingen te doen, zodat u volledig compliant bent aan de nieuwe omgevingswet.

Specifieke uitkeringen In het hoofdlijnenakkoord is het voorstel opgenomen dat de SPUK's (m.u.v. BUIG) per 2026 overgaan naar het gemeentefonds met tegelijk een korting van 10%. De verwachting is dat dit in 2025 verder wordt uitgewerkt en dat bestaande SPUK’s de komende jaren worden afgebouwd. We adviseren u om deze ontwikkelingen nauwlettend in de gaten te houden om de mogelijke impact voor uw gemeente te bepalen.

Rechtmatigheidsverantwoording Met ingang van verslagjaar 2023 hebben gemeenten, provincies en gemeenschappelijke regelingen voor het eerst een rechtmatigheidsverantwoording opgenomen in de jaarrekening. Uit de eerste evaluatie blijkt dat de rechtmatigheidsverantwoording nog niet zoveel toegevoegde waarde heeft gecreëerd voor de Raad als van tevoren was gehoopt. Het échte gesprek tussen het college en de Raad is in veel gevallen uitgebleven. We adviseren daarom om (het proces rondom) de rechtmatigheidsverantwoording 2023 ook bij u intern te evalueren om zodoende te stimuleren dat het gesprek over de rechtmatigheidsverantwoording in 2024 wel gaat worden gevoerd. pagina | 22

5. Actualiteiten Over 2023 hebben veel gemeenten omvangrijke rechtmatigheidsfouten door begrotingsoverschrijdingen gerapporteerd. Daarbij merken we op dat de foutenevaluatie omtrent begrotingsrechtmatigheid per gemeente en accountant verschilt. Dit geldt overigens ook voor het M&O-criterium, waarvoor eenduidige normen ontbreken. Hieruit blijkt dat de kaders nog te onduidelijk waren. Derhalve heeft de Commissie BBV recent de Kadernota Rechtmatigheid 2024 uitgebracht. De belangrijkste wijzigingen zijn: • •

•

• •

De voorbeeldtabel die op 20 november 2023 op de website van de Commissie BBV is opgenomen als voorbeeld voor het inzichtelijk maken van (begrotings-)onrechtmatigheden in de rechtmatigheidsverantwoording is gewijzigd en nu dus opgenomen in de Kadernota zelf (pag. 34 en 35); Een verduidelijking van wanneer overschrijdingen ten aanzien van wel of niet tijdig melden als onrechtmatig worden beschouwd en wanneer welke begrotingsonrechtmatigheden als gevolg van overschrijding van lasten en/of investeringen als acceptabel (passend in het beleid) worden beschouwd: dus wel onrechtmatig, maar acceptabel (pag. 33); Een tekstuele aanpassing in de modelverantwoording ten aanzien van de geconstateerde bevindingen, specifiek in relatie tot de omvang van niet rechtmatig tot stand gekomen verantwoorde baten, lasten en balansmutaties en welk deel acceptabel is op basis van de vastgestelde afspraken (zie pag. 42). Wij vragen u deze hanteren in de jaarstukken 2024; Een aangepast hoofdstuk 2 om het bestuurlijk belang van rechtmatigheid voor raadsleden te verduidelijken; Het niet meer in de rechtmatigheidsverantwoording opnemen van geconstateerd misbruik waarbij het M&O-beleid is toegepast en heeft geleid tot bijvoorbeeld terugvorderingen en het opleggen van sancties. De jaarrekening is in deze situatie immers getrouw en de financiële effecten van het misbruik zijn teniet gedaan.

Wel dient via de paragraaf bedrijfsvoering inzicht te worden gegeven in de aard en (financiële) impact van het bij de gemeente geconstateerde misbruik.

Voor de volledigheid merken wij op dat tot op heden het BBV en BADO nog niet zijn aangepast. Het streven van BZK is nog steeds om BBV en BADO nog dit kalenderjaar aan te passen, maar daarbij is men afhankelijk van de agenda van de Tweede Kamer.

pagina | 23

5. Actualiteiten Impact van duurzaamheidsverslaggeving steeds beter zichtbaar Met de invoering van de verplichte verantwoording over duurzaamheid / ESG in de jaarrekening van grote ondernemingen per 1 januari 2025 zien wij de aandacht hiervoor bij gemeenten ook sterk toenemen. Beleidsmatig zien we dit concreet terug in initiatieven zoals bijvoorbeeld ‘Global Goals’ (Global Goals voor Gemeenten | VNG). Op het gebied van verantwoording, financiën en verslaggeving constateren wij dat steeds meer wordt gevraagd van gemeenten. Enkele voorbeelden uit de praktijk: • Invoering Rapportageverplichting werkgebonden personenmobiliteit per 1 juli 2024 voor de Co2-uitstoot van auto’s van werknemers bij organisaties van meer dan 100 werknemers; • Vanaf 2025 zal het hebben van een klimaatactieplan, op bedrijfs- of activaniveau, voor de meeste klanten een voorwaarde zijn om in aanmerking te komen voor BNG-financiering. De impact hiervan is hieronder nader toegelicht; • Stakeholders in het gemeentelijk domein (BNG, Ministerie en enkele (grote) gemeenten) werken in een groep met de naam ‘coalition of the willing’ vanaf 2023 samen om uniforme verslaggeving voor duurzaamheid te ontwikkelen. Onder andere als gevolg van de bovenstaande ontwikkelingen heeft de commissie BBV duurzaamheidsverslaggeving ook op haar agenda gezet.

Een eerste belangrijke stap voor het ontwikkelen van verslaggevingseisen voor gemeenten op het gebied van duurzaamheid. Als Baker Tilly dragen we op landelijk niveau bij door mee te denken over een goede, maar ook praktisch uitvoerbare, route naar duurzaamheidsverslaggeving voor gemeenten. Uit onze ervaring bij de invoering van ESG bij grote ondernemingen weten wij dat analyses van de belangrijkste te rapporteren waarden (door middel van een materialiteitsanalyse) en het betrouwbaar registreren van deze waarden essentieel zijn om tot een goede verantwoording te komen. Op tijd starten is daarom belangrijk. Wij helpen u als gemeente graag om de ontwikkelingen scherp te volgen en hierin de eerste stappen te zetten.

pagina | 24

5. Actualiteiten Impact van Sustainability op kredietverlening BNG Bank De BNG Bank verduurzaamt haar eigen activiteiten en streeft naar een klimaatneutrale bedrijfsvoering. Sustainability heeft een centrale plek in de strategie van de BNG Bank. De BNG Bank wil gezamenlijk optrekken met de grootste sectoren waarin de bank actief is, om de uitstoot van de eigen organisatie én de emissies verbonden aan de kredietportefeuille terug te dringen. De BNG Bank heeft in haar Klimaatplan (Klimaatplan – Going Green (bngbank.nl) belangrijke doelen gesteld voor het behalen van klimaatdoelstellingen. Onderdeel hiervan is het niet meer financieren van organisaties die onvoldoende bijdragen aan deze klimaatdoelstellingen. Investeerders hechten ook grote waarde aan ESG voor wat betreft de klantacceptatie en kredietverleningen door de BNG Bank. Gemeenten hebben er baat bij om duurzaamheid in beeld te brengen om daarmee het investerend vermogen bij de BNG Bank te borgen. Als investeerders zich terugtrekken heeft dit namelijk gevolgen voor de financieringskosten voor de BNG Bank en drijft het de rente van kredietverlening omhoog. In het Sustainability beleidsdocument beschrijft de BNG Bank dat bij hun klanten voortgang op maatschappelijke doelstellingen wordt verwacht. Hiervoor gebruikt de BNG Bank strategische klantgesprekken en een ESG-rating model.

Daarbij wordt informatie gebruikt rondom Co2-intensiteit en omgang met klimaatrisico’s. Daarbij is het noodzaak voor gemeenten om te beschikken over een eigen klimaatdoelstelling.

Notities BBV Per 1 januari 2024 zijn verschillende notities ingrijpend gewijzigd. Dat zijn: • Notitie grondbeleid in begroting en jaarstukken; • Notitie rente; • Notitie overhead. Wij vragen aandacht voor deze notities en we verzoeken het college om te bepalen welke aanpassingen binnen uw gemeente gedaan moeten worden naar aanleiding van de notities.

pagina | 25

5. Actualiteiten De risico’s van het inhuren van zzp’ers Wet deregulering beoordeling arbeidsrelaties (Wet DBA) Door de Wet DBA is de Verklaring Arbeidsrelatie (VAR) per mei 2016 vervallen. Opdrachtgevers en opdrachtnemers maken binnen hun arbeidsrelatie afspraken. Samen beoordelen zij of er sprake is van loondienst. Bij twijfel kan een modelovereenkomst zekerheid geven. Wanneer is sprake van loondienst? Als sprake is van alle kenmerken van loondienst: werkgeversgezag, de verplichting tot het leveren van (persoonlijke) arbeid en een beloning. Recente ontwikkelingen Deliveroo Deliveroo maakte gebruik van modelovereenkomsten. De fietskoeriers werkten op basis van een opdrachtovereenkomst gebaseerd op vrije vervanging. Door het ontbreken van het kenmerk ‘de verplichting tot het leveren van (persoonlijke) arbeid’ is daarbij het standpunt ingenomen dat de fietskoeriers hun werkzaamheden als ZZP’ers verrichtten. FNV spande met succes een zaak aan omdat ze van mening waren dat de fietskoeriers in loondienst waren. Gevolg: modelovereenkomsten gebaseerd op vrije vervanging zijn per 1 januari 2024 vervallen.

pagina | 26

5. Actualiteiten Wetsvoorstel: Wet verduidelijking beoordeling arbeidsrelaties en rechtsvermoeden (VBAR) De VBAR heeft als doel schijnzelfstandigheid tegen te gaan door de open norm ‘werken in dienst van’ verder in te kleuren aan de hand van recente rechterlijke uitspraken. Verder wordt een zogenaamd rechtsvermoeden geïntroduceerd op grond waarvan werkenden met een lager uurtarief dan € 32,24 per uur worden geacht hun werkzaamheden te verrichten op basis van een arbeidsovereenkomst. Drie essentiële factoren die van belang zijn bij het onderscheid tussen loondienst en een ZZP’er: • Werkinhoudelijke aansturing; • Organisatorische inbedding; • Eigen rekening en risico. Invoering VBAR uitgesteld nu begin 2025 niet realistisch blijkt te zijn. Handhavingsmoratorium Op basis van het huidige handhavingsmoratorium wordt in de relatie tussen opdrachtgevers en ZZP`ers, alleen corrigerend opgetreden (opleggen van correctieverplichtingen, naheffingen en eventueel boetes) als er sprake is van kwaadwillendheid. Of als opdrachtgevers aanwijzingen van de Belastingdienst, gegeven na 1 september 2019, niet (of in onvoldoende mate) binnen een redelijke termijn opvolgen. De overheid wil met ingang van 1 januari 2025 vooralsnog actief gaan handhaven op schijnzelfstandigheid, ondanks uitstel van invoering van de VBAR.

Advies We adviseren u om modelovereenkomsten opnieuw te beoordelen en op basis van de recente ontwikkelingen de arbeidsrelatie met ingehuurde ZZP’ers te heroverwegen.

pagina | 27

6

Bijlagen

6. Bijlagen Detailbevindingen interne beheersing – Follow-up bevindingen voorgaande jaren Onderstaande tabel geeft een overzicht van de follow-up van de aanbevelingen uit onze management letters van voorgaande jaren. #

Bevinding

Follow-up 2024

Status 2024

1

Betalingen – Bevoegdheden betalingen Rabobank (2023) Geconstateerd dat door een enkele gebruiker wijzigingen in de bevoegdheden in het bankpakket kunnen worden doorgevoerd zonder verdere autorisatie. Hierdoor is sprake van een verhoogd risico op het bewust of onbewust doorvoeren van onjuiste wijzigingen in de bankbevoegdheden.

De aanpassing van de bevoegdhedenstructuur is onderhanden. Het is duidelijk hoe dit georganiseerd gaat worden, waarbij de beheerders akkoord moeten hebben van teammanager financiën bij het doorvoeren van wijzigingen. Momenteel is dit nog niet afgedwongen.

Actie ondernomen, maar nog niet afgerond.

Voor de jaarrekeningcontrole dienen wij een aanvullende analyse uit te voeren om vast te stellen of er zelfstandige betalingen (zonder autorisatie door een tweede medewerker) hebben plaatsgevonden. Indien noodzakelijk, zullen hier aanvullende controles op worden uitgevoerd.

pagina | 29

6. Bijlagen Detailbevindingen interne beheersing – Follow-up bevindingen voorgaande jaren Onderstaande tabel geeft een overzicht van de follow-up van de aanbevelingen uit onze management letters van voorgaande jaren. #

Bevinding

Follow-up 2024

Status 2024

2

Subsidies – Niet naleven van de termijnen uit de Algemene Subsidieverordening (2022) Toekenningen (beschikkingen) van subsidies worden niet altijd tijdig verstuurd of subsidies worden niet binnen de gestelde termijnen vastgesteld.

Uit onze interim-controle 2024 is gebleken dat toekenningen (beschikkingen) van subsidies ook dit jaar niet altijd tijdig zijn verstuurd of dat subsidies niet binnen de gestelde termijnen zijn vastgesteld. Dit is ook vanuit de Verbijzonderde interne controle geconstateerd. Ook is geconstateerd dat bij het thema onderwijs, 7 subsidies van onderwijsinstellingen een aantal jaren niet door het College zijn vastgesteld, waarbij in een aantal gevallen subsidie terugbetaald moest worden.

Actie ondernomen, maar nog niet afgerond.

Het niet naleven van de gestelde termijnen in de subsidieverordening kan tot onduidelijkheid leiden bij de subsidieontvangers en bovendien leidt dit tot nietfinanciële onrechtmatigheden.

U heeft aangegeven dat in het boekjaar extra aandacht is besteed aan de toetsing en rapportering in het proces van het verstrekken van subsidies. Ook is de gemeente bezig om binnen het zaaksysteem een subsidieregister in te richten. Dit zal tot uiting moeten komen in de subsidies vanaf boekjaar 2025. Subsidieaanvragen komen nu binnen bij verschillende ambtenaren. Hierdoor is er geen centraal overzicht van welke subsidieaanvragen binnenkomen en wat de status hiervan is. Met de komst van de Wet modernisering elektronisch bestuurlijk verkeer in 2026 verwacht de gemeente dat alle berichten op één plek zullen binnenkomen.

pagina | 30

6. Bijlagen Detailbevindingen interne beheersing – Follow-up bevindingen voorgaande jaren Onderstaande tabel geeft een overzicht van de follow-up van de aanbevelingen uit onze management letters van voorgaande jaren. #

Bevinding

Follow-up 2024

Status 2024

3

Inkopen – Inschakelen inkoopcoördinator (2017) Bij de inkoop van diensten boven de € 40.000 en voor werken boven de € 90.000 wordt door de gemeente gebruik gemaakt van een inkoopformulier dat dient als hulpmiddel voor het kiezen van de juiste aanbestedingsvorm. Er zijn echter geen controles ingebouwd die waarborgen dat dit ook gebeurt en bovendien vindt geen zichtbare controle plaats op het kiezen van de juiste aanbestedingsvorm. De inkoopcoördinator heeft bij het toepassen van het inkoopbeleid en uitvoering inkoopproces een ondersteunende rol.

Maandelijks worden door het inkoopteam 10 inkoopfacturen gecontroleerd op het volgen van de juiste aanbestedingsprocedure. De uitkomsten hiervan worden vastgelegd in een werkdocument. Ook is in 2024 een nieuw Spendtool in gebruik genomen om grip te houden op de inkopen. Verder geen wijzigingen in de procedure ten opzichte van vorig jaar. U heeft aangegeven dat het restrisico geaccepteerd wordt.

Actie ondernomen, maar nog niet afgerond.

Wij adviseren om het advies van de inkoopcoördinator vast te leggen het inkoopformulier en dit formulier te laten tekenen door zowel de budgethouder als de inkoopcoördinator en dit ook af te dwingen (al dan niet geautomatiseerd). Hiermee is achteraf eenvoudig na te gaan welke overwegingen aan de procedure ten grondslag liggen en door wie deze overwegingen zijn gemaakt.

pagina | 31

6. Bijlagen Detailbevindingen interne beheersing - IT General Controls IT General Controls Veel handelingen die binnen organisaties plaatsvinden, worden geregistreerd door middel van automatisering. Daarbij zijn diverse interne beheersingsmaatregelen steeds vaker geautomatiseerd in softwarepakketten. Wij onderzoeken daarom de beheersing van uw IT-omgeving en rapporteren daarover in deze management letter. Op basis van de door ons uitgevoerde werkzaamheden op 30-09-2024 hebben wij onze inschatting van de kwaliteit van uw ITsysteem en/of applicaties opgenomen. Hierbij hebben wij de volgende onderverdeling gemaakt om de kwaliteit weer te geven:

Onderwerp

Toegangsbeveiliging

Wijzigingsbeheer

Verbetering op (korte) termijn benodigd Adviespunt, verdere aanscherping mogelijk Op dit moment voldoende

Bij het uitvoeren van onze werkzaamheden hebben wij gekeken naar de algemene onderwerpen rondom de beheersing van uw IT-omgeving zoals in de tabel rechts opgenomen. Op de navolgende pagina’s zullen wij onze bevindingen rapporteren.

Continuïteitsmaatregelen en beveiliging

Bij het toetsen van ‘toegangsbeveiliging’ wordt onderzocht of de inrichting van de IT-omgeving de authenticiteit van de gebruiker van een gebruikersaccount borgt. Vervolgens onderzoeken wij de mogelijkheden voor het ‘steunen’ op autorisaties en de processen rondom het verstrekken, muteren en ontnemen van autorisaties binnen de omgeving. Wanneer de randvoorwaarden hiervoor voldoende aanwezig zijn, kunnen wij in de controle gebruikmaken van ingerichte functiescheiding in het systeem. Een adequate inrichting kan preventief risico’s voor uw organisaties beperken en tegelijkertijd efficiencyvoordelen opleveren in de controle.

Bij het toetsen van ‘wijzigingsbeheer’ ofwel change management wordt vastgesteld dat wijzigingen aan de applicatie op gestructureerde en gecontroleerde wijze worden doorgevoerd. Voor uw organisatie heeft wijzigingsbeheer ten doel om te voorkomen dat applicaties zich niet gedragen zoals u verwacht na een wijziging in de software, resulterend in, wellicht niet opgemerkte, (financiële) gevolgen.

Onder de noemer continuïteit en beveiliging krijgen wij inzicht in uw beheersing van risico’s gericht op continuïteit van uw bedrijfsvoering. Hierbij kan discontinuïteit worden veroorzaakt door menselijk of technisch falen, maar ook door interne of externe kwaadwillenden. Voor continuïteit zijn met name het punt in de tijd tot waar u gegevens bij discontinuïteit kunt herstellen en de tijd die het kost om tot een normale bedrijfsvoering te komen bij discontinuïteit van belang. Hiernaast schatten wij uw beheersing van cyberrisico’s in.

Het is voor ons van belang om inzicht te krijgen in de verantwoordelijkheden die binnen de organisatie zijn ingericht – of met andere organisaties overeen zijn gekomen (uitbesteding) – ten aanzien van de beheersing van de IT-omgeving. Hierbij kijken wij naar beleidsstukken ten aanzien van IT-strategie, beveiliging en functiescheiding.

Adviespunten zonder directe impact

pagina | 32

6. Bijlagen Detailbevindingen interne beheersing - Toegangsbeveiliging Netwerk 2023

Authenticatie

Autorisatie

2024

Authenticatie

Autorisatie

Authenticatie

Autorisatie

Indien maatregelen en procedures periodiek worden uitgevoerd en gecontroleerd, kunnen wij hier gebruik van maken in de jaarrekeningcontrole. Er wordt echter geen zichtbare periodieke controle uitgevoerd op actieve gebruikers en de inrichting van de wachtwoordinstellingen (en welke gebruikers langer dan een jaar het wachtwoord niet hebben gewijzigd).

Conform voorgaande jaren hebben wij de bevindingen van de interne beheersingsmaatregelen omtrent autorisatie hier opgenomen. Indien maatregelen en procedures periodiek worden uitgevoerd, kunnen wij hier gebruik van maken in de jaarrekeningcontrole. Er wordt echter geen zichtbare periodieke controle uitgevoerd op gebruikersrechten op netwerkniveau.

Bevinding Uit onze aanvullend uitgevoerde werkzaamheden is gebleken dat de ingestelde wachtwoordeisen van het netwerk van voldoende niveau zijn. Er zijn 31 accounts die in 2024 hebben ingelogd en langer dan 365 dagen het wachtwoord niet hebben gewijzigd. Dit zijn o.a. accounts met verhoogde rechten op het netwerk en service accounts. Hieronder valt één persoonsgebonden account van een raadslid. Wij hebben vernomen dat het wachtwoord van deze gebruiker wordt gewijzigd. Wij hebben niet kunnen vaststellen dat MFA (Multi factor Authenticatie) voor de gehele periode was ingeschakeld voor inlog vanaf de interne en externe omgeving voor alle gebruikers.

Risico

Uit onze aanvullende uitgevoerde werkzaamheden is gebleken dat de hoge rechten in de Windows Active Directory zijn beperkt tot onafhankelijke functionarissen in het kader van de jaarrekeningcontrole.

Door het ontbreken van een zichtbare periodieke controle op het authenticatiebeheer bestaat het risico dat uitzonderingen op het wachtwoordbeleid niet tijdig worden geïdentificeerd en adequaat worden opgevolgd. Eventuele uitzonderingen vormen een verhoogd risico op ongeautoriseerde toegang tot de applicaties waarbij Single Sign-On (SSO) is geactiveerd, zoals Key2Financiën.

Door het gebrek aan zichtbare procedures bestaat de kans dat functiescheiding wordt doorbroken, doordat rechten op netwerkniveau of de rechten op mappenstructuren te ruim belegd zijn.

Wij adviseren u om een zichtbare periodieke controle in te richten die erop toeziet dat gebruikers regelmatig hun wachtwoorden wijzigen en deze controle zichtbaar vast te leggen.

Wij adviseren om een functie-autorisatiematrix op te stellen (SOLL-positie) en om de periodieke controle zichtbaar vast te leggen. Op basis van de functieautorisatiematrix kunnen de ingerichte autorisaties op netwerkniveau periodiek worden gecontroleerd (IST).

Aanbeveling Op basis van de bevindingen kunnen wij niet steunen op uw proces omtrent authenticatie- en autorisatiebeheer. Voor de jaarrekeningcontrole heeft dit tot gevolg dat wij aanvullende werkzaamheden uitvoeren door de wachtwoordinstellingen en de hoge rechten op netwerkniveau te analyseren. Op basis van deze werkzaamheden zijn er geen bevindingen geconstateerd welke impact hebben op de jaarrekeningcontrole. Gevolgen voor de jaarrekeningcontrole

pagina | 33

6. Bijlagen Detailbevindingen interne beheersing - Toegangsbeveiliging & wijzigingsbeheer Key2Financiën 2023

Authenticatie

Autorisatie

Authenticatie

Bevinding

Wijzigingsbeheer

2024

Authenticatie

Autorisatie

Wijzigingsbeheer

Autorisatie

Voor Key2Financiën geldt dat Indien maatregelen en procedures periodiek worden uitgevoerd, kunnen wij hier gebruik gebruikers inloggen op basis van maken in de jaarrekeningcontrole. van Single Sign-On. Hierdoor is Er wordt echter geen zichtbare periodieke controle uitgevoerd op de juiste inrichting van het wachtwoordbeleid van het gebruikersrechten aan de hand van een functie-autorisatie matrix. netwerk relevant. Er zijn geen accounts uitgezonderd van het Uit onze aanvullend uitgevoerde werkzaamheden is gebleken dat de hoge rechten in de periodiek wijzigen van het applicatie niet beperkt zijn tot onafhankelijke functionarissen in het kader van de wachtwoord met toegang tot de jaarrekeningcontrole. Dit betreft één medewerker die tevens werkzaam is binnen de applicatie. De authenticiteit van financiële administratie. Dit is gezien de context van de organisatie een bewuste keuze. gebruikers is hiermee geborgd. Door de hoge rechten niet beperkt zijn tot onafhankelijke functionarissen bestaat de kans N.v.t. dat functiescheiding wordt doorbroken. Gebruikers met hoge rechten kunnen gebruikers aanmaken en rechten en rollen toekennen om zo functiescheiding te omzeilen.

Risico

Wijzigingsbeheer Er vindt geen zichtbare vastlegging plaats van de risicoanalyse en de uit te voeren testwerkzaamheden (testplan). De testwerkzaamheden worden niet altijd gedocumenteerd. Afsluitend vindt er een goedkeuring plaats voor het doorvoeren van de wijzigingen in de productieomgeving.

Door het ontbreken van vastlegging van risicoanalyses, het testplan en testwerkzaamheden bestaat de kans dat niet alle risicovolle functionaliteiten met de juiste impact worden getest.

Wij adviseren u om een risicoanalyse uit te voeren voor het doorvoeren van wijzigingen, en op basis daarvan een testplan op te stellen van de uit te voeren testwerkzaamheden. Vervolgens dient de uitvoering en het Aanbeveling Tevens adviseren wij om de periodieke controle zichtbaar vast te leggen. Op basis van de go / no go moment naar productie te worden functie-autorisatiematrix (SOLL) kunnen de ingerichte autorisaties uit de applicatie gedocumenteerd. periodiek worden gecontroleerd (IST). Voor de jaarrekeningcontrole Voor de jaarrekeningcontrole heeft dit tot gevolg dat wij niet op autorisaties in de applicatie Op basis van de bevindingen kunnen wij niet steunen op uw heeft dit tot gevolg dat we kunnen steunen en eventueel aanvullende werkzaamheden dienen uit te voeren. proces omtrent het gestructureerd doorvoeren van nieuwe kunnen steunen op de wijzigingen. Voor de jaarrekeningcontrole heeft dit tot gevolg Gevolgen voor authenticiteit van de gebruikers dat wij aanvullende werkzaamheden uitvoeren door de de jaarrekening- in de applicatie. releasenotes te analyseren. Op basis van deze controle werkzaamheden zijn er geen bevindingen geconstateerd welke impact hebben op de jaarrekeningcontrole. N.v.t.

Wij adviseren u om de hoge rechten van deze accounts te ontnemen. Wanneer dit niet mogelijk is bevelen wij aan om periodiek een interne controleprocedure in te richten die toeziet op uitgevoerde autorisaties.

pagina | 34

6. Bijlagen Detailbevindingen interne beheersing - Continuïteitsmaatregelen en beveiliging Let op: de onderwerpen volgen uit interviews en hierop zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten.

Back-ups: U heeft aangegeven dat er sprake is van een werkwijze omtrent het uitvoeren en monitoren van back-ups. Dagelijks wordt er een back-up gemaakt, welke zowel op een externe locatie als in de cloud wordt opgeslagen. Dagelijks wordt er gemonitord of back-ups wel of niet zijn geslaagd en worden er eventueel vervolgstappen genomen. Recovery: U heeft aangegeven dat er geen volledige recovery test wordt uitgevoerd. Wel worden er succesvol losse bestanden teruggezet. Wij adviseren u om dit periodiek uit te voeren. Uitwijk: U heeft aangegeven dat er een uitwijklocatie is ingericht, welke specifiek is getest voor Burgerzaken. Hierbij vindt er geen documentatie van de resultaten van de uitgevoerde test plaats. Wij adviseren u om de gehele IT-omgeving in de uitwijktest op te nemen.

Beveiliging De beveiliging van de IT-omgeving delen wij op in verschillende aspecten, welke wij hieronder hebben weergegeven. Fysieke beveiliging: De servers zijn ondergebracht in een serverruimte op locatie. Deze ruimte is fysiek afgesloten en alleen toegankelijk middels een tag waar alleen geautoriseerde medewerkers over beschikken. Daarnaast is de ruimte voorzien van een alarmsysteem, airco, ups en blusinstallatie. Remote access: Voor het extern inloggen wordt gebruik gemaakt van extra beveiligingsmaatregelen zoals multi-factor authenticatie (MFA). Hiermee wordt een extra authenticatie stap afgedwongen. Dit geldt alleen voor inloggen vanaf de externe locatie. Wij raden aan MFA op basis van risk based policy voor alle gebruikers vanaf het netwerk inloggen te activeren.

Vervolg beveiliging Monitoring: Er heeft het afgelopen jaar nog geen penetratietest plaatsgevonden. Deze staat gepland voor Q4 2024. Hierdoor is het voor uw organisatie inzichtelijk hoe kwetsbaar de organisatie is voor hacking en waar deze kwetsbaarheden zich bevinden. Aan de bevindingen uit de pentest wordt een prioriteit toegekend en op basis hiervan zijn de worden (kritische) punten opgevolgd. Daarnaast zijn alle kritieke systemen door de organisatie zichtbaar geïdentificeerd of in kaart gebracht middels een formele risicoanalyse gericht op cyberrisico’s. Daarbij wordt de organisatie actief geïnformeerd door o.a. leveranciers met betrekking tot cyberrisico’s en welke maatregelen zijn genomen om deze risico’s te verlagen tot een aanvaardbaar niveau. Er vindt monitoring plaats op eventuele kwetsbaarheden en actieve meldingen vanuit de diverse systemen. Voor een nadere toelichting verwijzen wij naar de Cyber Security NIS 2 Scan.

Preventie: Een firewall en virusscanner zijn aanwezig en worden actief beheerd en gemonitord.

pagina | 35

6. Bijlagen Detailbevindingen interne beheersing - Adviespunten IT zonder directe impact Let op: de onderwerpen volgen uit interviews en hierop zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten.

Beleid en Plannen Beleid U heeft aangegeven dat uw organisatie beschikt over een beleidsplan opgesteld omtrent IT en informatiebeveiliging, welke voldoet aan de BIO. Dit betreft een meerjarenplan voor 2024-2028 en wordt goedgekeurd door het College van Burgemeester en Wethouders. Op dit document vindt periodiek een herziening plaats, waardoor het beheersen van risico’s op basis van een plan-do-check-act cyclus kan plaatsvinden.

Verantwoordelijkheden en regiefunctie Wij verwachten dat binnen uw organisatie duidelijke afspraken zijn gemaakt ten aanzien van verantwoordelijkheden over uitvoering en strategie op het gebied van IT.

Verantwoordelijkheden en regiefunctie (vervolg) Een aantal verantwoordelijkheden is belegd bij externe partijen. Met deze partijen zijn contracten en Service Level Agreements (SLA’s) opgesteld. Wij hebben vernomen dat er vanuit deze partijen niet in alle gevallen periodiek wordt gerapporteerd en gemonitord. Wij adviseren u om hier een regiefunctie in te nemen door periodiek contact op te nemen met de externe partijen en na te gaan hoe de performance van de dienstverlening over een bepaalde periode is verlopen. Bij eventuele bevindingen is het raadzaam om samen met deze partij tot een passende oplossing te komen zodat de continuïteit van uw bedrijfsvoering geborgd is.

Uitvoering Beheersing van incidenten Om de performance van uw IT-systemen en eventueel de performance van uw IT-dienstverlener te monitoren, is registratie van de incidenten en problemen van belang. Hierdoor verkrijgt u inzicht in de performance van uw systemen, maar ook van uw IT-organisatie en kunt u waar nodig uw beleidsplan corrigeren. U heeft aangegeven dat incidenten geregistreerd worden in een ticketsysteem. Hierdoor is het inzichtelijk welke incidenten hebben plaatsgevonden en hoe hieraan opvolging is gegeven.

pagina | 36

6. Bijlagen Detailbevindingen interne beheersing – Cybersecurity NIS2 scan Identificatie: identificeren van kritieke systemen behoeft aandacht. Wij zien dat het identificeren van risico’s en maatregelen bij leveranciers aandacht vraagt. Denk hierbij ook aan het periodiek reviewen en evalueren van beveiligingsmaatregelen die door de leveranciers worden afgedekt en erop te monitoren dat de vastgelegde afspraken worden nagekomen op basis van een risicoanalyse voor de kroonjuwelen.

1) Deze scan is bedoeld om u in inzicht te geven in de staat van cyberweerbaarheid van uw organisatie. De lijst is niet uitputtend, maar betreft een focus op de belangrijkste punten. 2) De scan is afgestemd op de vereisten van de EU-wetgeving NIS2 en de Nederlandse vertaling in de Cyberbeveiligingswet. 3) Let op: de onderwerpen volgen uit interviews en we hebben geen testwerkzaamheden uitgevoerd om vast te stellen dat de ITomgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten. 4) De score wordt weergeven als een ratio waar 0% de laagste en 100 % de hoogste score is. 5) Rood betreft uw score. Blauw betreft de best practice ten aanzien van de EU-wetgeving NIS2 en de Nederlandse vertaling in de Cyberbeveiligingswet. Wij maken voor cyberweerbaarheid onderscheid in: - Governance: risicomagement, communicatie en monitoring van cyberrisico’s - Identificatie: identificeren van kritieke gegevens en cybersecurity risico’s - Bescherming: beschermen middels inzet van techniek, mens en procedures - Detectie: het monitoren van verdacht gedrag en afwijkingen in de gegevensverwerking - Reactie: reageren op incidenten en bijsturen op basis van inzichten - Herstel: het herstellen naar normale bedrijfsvoering

Bescherming: uw bescherming heeft prioriteit. De wijze waarop vervolgens de cyberrisico’s door middel van maatregelen worden verlaagd kan verder worden verbeterd. Denk hierbij vooral aan het periodiek bewaken van de wachtwoord- en MFA-instellingen en het aantoonbaar monitoren op de back-up voorzieningen van leveranciers en de interne omgeving. Detectie: het detecteren is voldoende maar kan worden verhoogd. Op basis van bovenstaande zien wij dat aandacht gegeven is aan vulnerability scanning en pentesting, maar dat er verbeterpotentieel ligt om de cyberweerbaarheid van uw organisatie te verhogen. Denk hierbij aan het aanscherpen van de procedures omtrent toegangsbeheer en het verkrijgen van externe assurance op beveiligingsmaatregelen van externe leveranciers en monitoring op de dienstverlening. Governance: eigenaarschap en pro-activiteit is aanwezig. Wij zien dat er aandacht en prioriteit wordt gegeven aan de kwaliteit van de huidige beveiliging. Ook zien wij dat er op dit moment aandacht plaatsvindt op het gebied van risicomanagement en formalisatie van beleid en verantwoordelijkheden omtrent cybersecurity.

Response: reageren is op orde. Wij zien dat security incidenten worden geregistreerd en periodiek geanalyseerd. Tevens is er een communicatie- en crisisplan opgesteld. Een verbetering zou een periodieke simulatie van een cyber-incident zijn. Herstel: Herstelprocedures zijn op orde. Wel zien wij dat er aanscherping mogelijk is voor het periodiek oefenen van de back-up voorzieningen. Ter verbetering kunt u de scope van de restore testen uitbreiden, door bijvoorbeeld uw SaaS leveranciers restore testen uit te laten voeren voor uw data welke extern is opgeslagen en intern back-ups regelmatig te testen. 37 pagina | 37

Contact M.C.J.M. (Marc) Bekker RA Extern accountant + 31 6 15 30 36 59 m.bekker@bakertilly.nl P.S. (Peter) Moerbeek MSc RA Manager Audit + 31 6 52 76 54 05 p.moerbeek@bakertilly.nl Kantoorgegevens Baker Tilly (Netherlands) N.V. Burgemeester Roelenweg 14-18 8021 EV Zwolle Postbus 508 8000 AM Zwolle +31 38 425 86 00

Baker Tilly (Netherlands) N.V. trading as Baker Tilly is a member of the global network of Baker Tilly International Ltd., the members of which are separate and independent legal entities.